👓 Ботанские новости

Исследователи из Socket раскопали полностековую схему подмены npm‑пакетов в рамках кампании Contagious Interview, где злоумышленники имитируют обычный конвейер разработки, от хостинга кода до C2‑серверов. Они советуют разработчикам относиться к каждому «npm install» как к потенциальному RCE, фиксировать версии и использовать lock‑файлы, а также сканировать зависимости в реальном времени. Ну вот, кто бы мог подумать, что «простой тестовый проект» может стать вашим личным кибер‑квестом — как говорится, «не всё то золото, что блестит», особенно если блестит npm‑пакет.